Security-Tools – Elcomsoft Advanced EFS Data Recovery Eingeschränktes Hacking-Tool

Das russische Softwarehaus Elcomsoft bietet mit Advanced EFS Data Recovery ein Programm an, das unter bestimmten Voraussetzungen ermöglicht, die EFS-Verschlüsselung aus Windows NT/2000/XP und Server 2003 zu knacken. In der neuen Version 3.2 kann das Tool auch mit der EFS-Kodierung in Windows Vista umgehen.

Anbieter zum Thema

FAST LTA GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

ElcomSoft Co. Ltd..

Auch wenn man nach der Lektüre der Programmbeschreibung auf der Website von Elcomsoft das Gegenteil glauben könnte: Advanced EFS Data Recovery (AEFSDR) eignet sich nur eingeschränkt als Hacker-Tool, mit dem Unbefugte sich Zugriff auf verschlüsselte Dokumente verschaffen können – es gibt einige Voraussetzungen für die Datei-Dekodierung mit AEFSDR.

Zunächst einmal müssen die Daten auf einer Basic-NTFS-Partition liegen, da dynamische NTFS-Dateisysteme nicht unterstützt werden. Zudem ist es zwingend erforderlich, dass der Schlüssel noch im System vorhanden ist, also typischerweise auf der jeweiligen Systempartition.

Auf einer formatierten logischen Festplatte ist die Rekonstruktion nur möglich, wenn der PC Mitglied in einer Domäne war und der Schlüssel vom Domänencontroller geholt werden kann, wenn ein Wiederherstellungsagent eingerichtet war oder wenn ein Backup des Benutzerprofils inklusive Schlüssel existiert. Damit AEFSDR Dateien dechiffrieren kann, müssen die typischerweise in den folgenden Ordnern gespeicherten Schlüsseldaten vorhanden sein:

C:\Dokumente und Einstellungen\<benutzername>\Anwendungsdaten\Microsoft\Crypto\C:\Dokumente und Einstellungen\\Anwendungsdaten\Microsoft\Protect\

Wiederherstellung OS-spezifisch eingeschränkt

Im Falle Windows XP, Server 2003 oder Vista ist das Kennwort des Nutzers erforderlich, der die Dateien verschlüsselt hat, alternativ hilft auch das Kennwort des Wiederherstellungsagenten weiter. Ein Angreifer, der im Besitz einer ausgebauten Festplatte mit einem dieser drei Betriebssysteme ist, kann darauf verschlüsselte Dateien mit AEFSDR nicht rekonstruieren.

Auf Vista-Systemen kann AEFSDR unter den oben genannten Voraussetzungen zwar per EFS verschlüsselte Dateien dechiffrieren. Falls aber die Systempartition per Bitlocker-Funktion in Verbindung mit einem TPM-Chip geschützt ist, ist das nicht möglich – schließlich unterbindet Bitlocker den Zugriff auf die auf der Festplatte gespeicherten EFS-Schlüssel.

Sollte bei einem Windows-2000-System der SYSKEY auf Diskette gespeichert bzw. die Option „Kennwortstart“ aktiviert sein, gestaltet sich der Aufwand etwas größer: Zum Entschlüsseln benötigt man zum einen die Startdiskette und zum anderen das Startkennwort bzw. das Kennwort des Benutzers, der die Dateien verschlüsselt hat. Auch hier kann sofern vorhanden das Kennwort des Wiederherstellungsagenten verwendet werden.

Elcomsoft gibt drei typische Szenarien an, für die AEFSDR geeignet sein soll:

• Ein Nutzer, der Administratorrechte auf dem System hat, will Dateien dechiffrieren, die sich auf dem Datenträger befinden, von dem das System bootet. Es sind allerdings einige Zertifikate im System beschädigt, so dass die vom Betriebssystem bereitgestellte Entschlüsselung nicht funktioniert.
• Das Betriebssystem lässt sich nicht starten, oder der Nutzer hat keine Administratorrechte.
• Es sollen Dateien von einem Datenträger entschlüsselt werden, der von einem fremden System stammt.

Unterstützende Funktionen

Das Programm lässt sich mit Hilfe eines Assistenten steuern, der Schritt für Schritt hilft, die auf dem System vorhandenen Schlüssel zu lokalisieren. Außerdem spürt er auf Wunsch verschlüsselte Dateien auf und dechiffriert sie bei Bedarf.

Im Expertenmodus hat man zusätzlich die Möglichkeit, den SYSKEY von einem externen Datenträger heranzuziehen oder zum Ermitteln eines nicht bekannten oder vergessenen Benutzerkennworts einen Wörterbuch-Angriff zu starten. Allerdings bringt AEFSDR keine Wörterbücher mit – wer das Programm beim Hersteller auf CD bestellt, kann für einen Aufpreis von 15 Euro eine Bibliothek an Wörterbüchern für verschiedene Sprachen mitbestellen.

Elcomsoft AEFSDR ist mit einer Business License für 199 Euro erhältlich. Die Systemanforderungen: Windows NT/2000/XP/2003/Vista mit Administratorrechten und ein PC mit 600 Kilobyte freiem Festplatten-Speicher.

Fazit

Als zusätzliches Tool im Werkzeugkasten des Admins kann AEFSDR gute Dienste leisten, zum Beispiel wenn ein User sein Anmeldekennwort vergessen hat und auf wichtige Dokumente nicht mehr zugreifen kann. Selbst nach einem versehentlichen Formatieren der Festplatte ist der Zugriff auf die Daten wieder möglich – sofern es gelingt, zumindest die Dokumentdateien sowie die Schlüsseldaten wiederherzustellen. Ohne diese Informationen kann aber auch AEFSDR nicht viel ausrichten.

(ID:2004111)